[[407970]]

近年來(lái)，許多組織在EDR產(chǎn)品上的成功可能恰恰加速了這項(xiàng)技術(shù)的終結(jié)。

XDR的出現(xiàn)將EDR推到了風(fēng)口浪尖。比如，F(xiàn)orrester將XDR的快速出現(xiàn)視為企業(yè)減緩云端威脅的手段之一。而Gartner，則把XDR工具和機(jī)器學(xué)習(xí)，以及自動(dòng)化能力，認(rèn)為是改進(jìn)威脅檢測(cè)準(zhǔn)確率和安全生產(chǎn)效率的關(guān)鍵，尤其是在SOC環(huán)境中。在近日的一項(xiàng)調(diào)研中，ESG發(fā)現(xiàn)大約有70%的企業(yè)正在考慮，甚至已經(jīng)開(kāi)始使用XDR了。另一項(xiàng)由Ponemon Institute代表火眼進(jìn)行的調(diào)研則發(fā)現(xiàn)，外國(guó)企業(yè)2020年在XDR上的投入意向約為333,150美元，而SIEM只有183,150美元，SOAR則有345,150美元。

Forrester的分析師Allie Mellen認(rèn)為，推動(dòng)這個(gè)趨勢(shì)的因素有多個(gè)。首要原因，是人員不足的SOC團(tuán)隊(duì)完全沒(méi)有足夠的時(shí)間深入調(diào)查和響應(yīng)他們組織面臨的每一個(gè)威脅，尤其是現(xiàn)在有太多的安全讓人目不暇接的情況下。

另一方面，許多安全專家發(fā)現(xiàn)了XDR中的價(jià)值，也在想方設(shè)法將這些能力拓展到終端以外的地方。

“雖然EDR提供了有效的終端檢測(cè)和響應(yīng)能力，安全團(tuán)隊(duì)還需要終端以外的遙測(cè)能力。”

Mellen說(shuō)到，“XDR能夠通過(guò)將EDR數(shù)據(jù)和其他遙測(cè)數(shù)據(jù)集成，提供其他業(yè)務(wù)部分需要的可視化和控制能力。”第三個(gè)驅(qū)動(dòng)XDR的原因是云端。隨著企業(yè)將更多的運(yùn)營(yíng)能力遷移到云端，安全人員也面臨著更大的壓力，去保護(hù)云端的數(shù)據(jù)。

XDR是基于EDR已有的成功，并且將技術(shù)演化到下一階段。像傳統(tǒng)的EDR工具一樣，XDR也會(huì)從筆記本、工作站、移動(dòng)設(shè)備等終端設(shè)備收集并分析安全事件和呃威脅數(shù)據(jù)。但是不想EDR技術(shù)，XDR會(huì)將終端安全數(shù)據(jù)和來(lái)自網(wǎng)絡(luò)工具、應(yīng)用、IAM工具、以及云的數(shù)據(jù)統(tǒng)一。

到現(xiàn)在為止，安全團(tuán)隊(duì)一般會(huì)用安全分析工具、SIEM、網(wǎng)絡(luò)分析工具和數(shù)據(jù)湖去嘗試將EDR工具和環(huán)境的其他部分進(jìn)行匹配。雖然說(shuō)這些工具都能帶來(lái)一定程度的幫助，但是都非常消耗資源，而且由于有太多數(shù)據(jù)，會(huì)有非常高的誤報(bào)率。

更重要的是，像SIEM這樣的許多安全分析平臺(tái)，其實(shí)主要工作還是從大量資源點(diǎn)收集和整合安全事件和日志數(shù)據(jù)，但在分析工作上卻做得有點(diǎn)少。Mellen表示，原因在于SIEM部署的主要驅(qū)動(dòng)力是為了合規(guī)。“

XDR通過(guò)集中能提供高效率檢測(cè)的遙測(cè)器來(lái)解決這些問(wèn)題。”Mellen提到，“通過(guò)在終端部署檢測(cè)，無(wú)論終端形式是筆記本、工作站、移動(dòng)設(shè)備、還是云，XDR的目的都是減少誤報(bào)率，將關(guān)注點(diǎn)集中在最有可能得到準(zhǔn)確檢測(cè)的數(shù)據(jù)上。”

正在選購(gòu)XDR技術(shù)的企業(yè)需要決定他們是用原生XDR能力，還是混合XDR。Forrester將原生XDR定義為，一種將廠商現(xiàn)有產(chǎn)品集成的技術(shù);而混合XDR環(huán)境，則是從不同第三方集成產(chǎn)品。

原生XDR的優(yōu)勢(shì)是其本身的購(gòu)買過(guò)程相對(duì)直接，而集成度高。另一方面，混合XDR可以讓客戶選擇每個(gè)點(diǎn)上最好的產(chǎn)品，雖然在集成上會(huì)存在一定問(wèn)題。但是無(wú)論是原生XDR，還是混合XDR，都通過(guò)SaaS模式進(jìn)行服務(wù)。

Mellen認(rèn)為EDR到XDR的轉(zhuǎn)變是一個(gè)循序漸進(jìn)的過(guò)程：“XDR現(xiàn)在還是主要在終端數(shù)據(jù)為主，比如限制在筆記本、工作站和移動(dòng)設(shè)備。但是隨著XDR能力逐漸成熟，并且檢測(cè)能力擴(kuò)展超過(guò)傳統(tǒng)終端，XDR會(huì)逐漸從SIEM中搶過(guò)更多任務(wù)，最終在未來(lái)三到五年成為SIEM產(chǎn)品的競(jìng)品。”